2024年10月22日から25日まで開催された、コンピュータセキュリティシンポジウム2024にて、「データ消去済みSMR方式HDDからのデジタル証拠復元を主眼としたデジタルフォレンジック調査の有用性」と題した研究発表を行いました。この研究は弊社内で独自に行ってきたものであり、データ消失トラブルや、パソコンやサーバのデータを証拠隠滅目的で消去された場合などにおいて、従来は復元することが不可能であったデータを復元できる技術です。不正や犯罪の被害に悩まされる企業や組織は多くありますが、今後この技術が適切に活用され少しでも多くのデジタル証拠が検出されることにより、救われるべき方々が救われるようになることを期待しています。なお、悪用される危険性も考慮しながら慎重に情報開示と研究を継続しています。（by 下垣内 太） タイトルデータ消去済みSMR方式HDDからのデジタル証拠復元を主眼としたデジタルフォ
TPM 通信から BitLocker の鍵を窃取し、暗号化されたボリュームを復号する手順をエミュレーターでお手軽に体験する方法を紹介します。 TPM と BitLocker が対策可能な脅威とはなんなのか、理解を深めるきっかけになればと思います。 準備 前回の記事で QEMU エミュレーターに Windows 11 をインストールし、TPM 通信をキャプチャするまでの手順を紹介しています。 本稿では引き続きこの環境を使用します。 時間はかかりますが PC が 1 台あればコピペでできるので、時間のある方はぜひチャレンジを💪。 TPM 通信キャプチャ・改ざんを支援するライブラリを公開しました。 本稿では環境を構築し、Windows 仮想マシンと仮想 TPM 間の通信のキャプチャ・改ざんするまでの方法を紹介します。 GitHub - CyberDefenseInstitute/tpmprox
SQLiteのファイルフォーマットを読み解いてみた 以前SQLiteについて、公式のドキュメントDatabase File Formatを読みつつ、実際にSQLiteのファイルフォーマットをBinary Editor BZ（以下BZエディタ）を使用して検証したことがあるのでまとめてみました。 今回はデータベースファイルのファイルフォーマットに焦点を当てたいので、SQLiteの概要やデータベース作成、テーブル作成の方法などについては、割愛させていただきます。 前提条件 データベースは、page_size=512byteの最小サイズで作成 デフォルトではpage_size=4096byteです。これだと１ページ分のサイズが大きく、データを追いづらい、また図にする際に全体を載せたかったので、page_size=512の最小サイズで作成しています。 SQLite version 3.37.2 WS
An Library to assist in TPM communication capture and tampering - CyberDefenseInstitute/tpmproxy 準備 PC が 1 台必用です。 TPM は無くても構いませんが、あった方が少しだけ楽しみが増えます。 Linux（Ubuntu） をインストール後、Linux 上で仮想マシンに Windows をインストールする流れになりますので、Windows 11 がインストール可能な程度のスペックが必用です。 PC が用意できたら次の作業を行ってください。 BIOS（UEFI）で仮想化機能を有効化 Ubuntu 24.04 インストール Linux 上で仮想マシンが動かせれば何でも構いません（Arch Linux はいいぞ） 本稿では Ubuntu 24.04 のコマンド、パッケージ、パスを前提に手順を解説
はじめに 本稿は、主にスマートフォンにインストールされたアプリケーション（以下、スマホアプリ）から発生する通信に対してWebアプリケーション診断を後述する特定条件下において行う、という目的を達成するために書かれた文章です。 弊社の取り組みと併せ、うまく条件がマッチした方にとっては嬉しい内容かもしれませんのでご紹介します。 診断における特定条件 今回の特定条件とは、次の3つの条件をすべて満たした状態を指します。 診断対象の通信がOS標準のプロキシ設定を無視する スマートフォン端末の管理者権限を取得することが出来ない 診断端末では直接パケット操作を行わない 各条件について、詳しく見ていきます。 1. 診断対象の通信がOS標準のプロキシ設定を無視する これは、独自の実装により通信を確立している場合や、特定の開発フレームワークによるデフォルトの挙動により、発生しうる条件です。 診断を行うためには欠
If you haven’t read the earlier parts, please do so. The background There is a long standing tradition among hardware hackers and tinkerers. Once a platform is hacked, once a gadget is tinkered with, once a device is understood there will always be someone who asks a certain, specific question. And that question is: “Can it run Doom?” Doom (1993) Doom (1993) is a first person shooter made by id So
Androidマルウェアを動的分析する場合、Windowsマルウェアのようにデバッカーを使ってコードを追いかけることは難しいのが現状です。Frida[1]によって動的にメソッドをフックする方法[2]がありますが、メソッドの途中の状態を取得することは難しく、また、FridaはAndroid専用のツールではないため、取得できる情報に限りがあります。今回は、Androidマルウェアをより柔軟に動的分析する方法として、smaliガジェット挿入手法を紹介します。 smaliガジェット挿入手法は、APKファイル内に分析用ガジェットを作成・挿入し、リパッケージしたAPKファイルを作成することで、動的分析を可能にする方法です。 逆コンパイル結果の確認 まず初めに、Androidマルウェアのどの部分を動的分析したいかを特定するために、Androidマルウェアのコードを確認します。APKファイルは、JADXや
本稿では「制御システム固有のプロトコルに対応」という用語の意味することについて考えてみました。 昨日の低予算で始めるArkimeによるOT IDS運用 - 実践ガイドに引き続き通信監視ネタです。なお、WiresharkのDissectorとは、通信データを解釈・解析してわかりやすく表示する仕組みです。 はじめに 2020年に公開した WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました の記事は、今では、Dissectorに興味をもった人に最初に目にとまる定番記事となっているようであり、Dissectorの草の根普及に少しでも貢献できていたとすれば嬉しい限りです。読んでいただいた皆様、この場でお礼申し上げます。 もともと、制御システムの通信テストやトラブル解析でWiresharkの生データを見て四苦八苦していた当時、Dissectorを自作できることを
はじめに 「デジタルフォレンジック」はだいぶ耳馴染みのある言葉になってきた気がしますが、「ファストフォレンジック」という言葉を耳にされたことはあるでしょうか？ と書き出して「おい、これ長くて堅い話になりそうだぞ、ファストじゃないぞ」と自覚しました。が、もし10分程度のお時間があれば、何か飲みながらでもおつきあいただけると幸いです。。 この記事では、組織内のPCがEmotetのようなマルウェアに感染したセキュリティインシデントを事例として、ファストフォレンジックの実務をご紹介したいと思います。 デジタル・フォレンジック研究会の証拠保全ガイドライン（第9版）では、次のように説明されています。 ファスト・フォレンジック（ファストフォレンジック） 早急な原因究明、侵入経路や不正な挙動を把握するため、必要最低限のデータを抽出及びコピーし、解析すること ※ 出典 : https://digitalfo
SOCのインフラ運用から分析ルール管理までやってた自称何でも屋。 最近マルウェア解析に手を出し始めた。家ではニャンサムウェアの被害に度々あっている。 【IIJ 2023 TECHアドベントカレンダー 12/6の記事です】 はじめに こんにちは。SOCでマルウェア解析をしているtomoya-fです。 本記事ではマルウェアの動的解析ツールであるNoriben（ノリベン）を紹介します。 こういう機会にならないとドキュメント化しない体たらくさよ・・・ マルウェア解析の種類 Noribenの紹介をする前にマルウェアの解析種別について触れておきます。 マルウェア解析は解析の目的により、解析の手法や利用するツールが異なります。 代表的な解析として以下の3つが挙げられます。 ※ 解析種別は文献や個人によって定義や粒度が異なります 表層解析 動的解析 静的解析 表層解析とはマルウェアのメタデータなどを解析す
NECサイバーセキュリティ戦略統括部セキュリティ技術センターの山﨑です。セキュリティインシデントの対応において、”情報漏洩の有無”は被害範囲の特定や復旧に向けた方針を決定する上で重要な事項の一つです。今回のブログでは、”情報漏洩の有無”という観点での調査に活用可能なSRUMについて書きます。 SRUM（System Resource Usage Monitor）は、アプリケーションやサービス等の利用状況を監視するWindowsの機能です [1]。この機能はWindows 8から導入されました。SRUMは、ある期間内で実行されたアプリケーションやそのアプリケーションを実行したユーザーアカウント、アプリケーション毎のネットワーク通信量といったデータを収集します。 SRUMが収集したデータは、はじめにSOFTWAREレジストリに保存されます。その後、（Windowsが起動している場合は）約一時間
Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities Updates Nov. 02: Identified a third version of the BadCandy implant. Added expected response from the new version of the implant against one of the HTTP requests used to check for infected device. Nov. 1: Observed increase in exploitation attempts since the publication of the proofs-of-concept (POCs) of the
表1. 「Windows NT」の行と対応する Microsoft Windows バージョン なぜ表 1 では「Windows NT 10.0」が「Windows 10 または Windows 11」を表すとされているのでしょうか。User-Agent 行の情報を減らす取り組みの一環で、Chrome や Edge、Firefox などの Web ブラウザーの開発者は Windows NT 10.0 の User-Agent 行に含める Windows バージョン番号を固定にしているのです。2023 年以降、Google Chrome ブラウザーの最新バージョンは、User-Agent 行の Windows のあらゆるバージョンを Windows NT 10.0 として報告するようになっています。 この措置は Apple macOS に関してもとられており、現行バージョンの macOS で
気がついたら数年ぶりのBlog投稿でした。お手柔らかにお願いします。 さて、今回取り上げるのは、ドメインやサブドメイン、保有ネットワークを調査する手法（相手方に影響を与えない縛りです）を思いつくままに紹介していきます。ドキュメントとして纏まっているものもあまり見かけなかったので、重い腰を上げて書いてみました。この他にもこんな方法がある！などフィードバックを頂ければとても喜びますので、是非よろしくお願いします。 目次 <後編> ・サブドメインを調査する方法 ・IPアドレスを起点にサブドメインを探す ・公開ポートへのアクセス（Webポート） ・＜通常コンテンツの返却＞ ・＜エラーページの返却＞ ・＜リダイレクト＞ ・公開ポートへのアクセス（Webポート以外） ・証明書の確認 ・＜Webサーバの場合＞ ・＜SSL/TLSで保護されたプロトコルの場合＞ ・＜プロトコル内で暗号化(STARTTLS)
表1. Wireshark の表示フィルター式で使われるブール演算子とその機能 Wireshark の表示フィルター式の適当な例を以下にあげます。 ip.addr eq 10.8.15[.]1 and dns.qry.name.len > 36 http.request && ip.addr == 10.8.15[.]101 http.request || http.response dns.qry.name contains microsoft or icmp Web トラフィックのフィルタリング 前回の Wireshark チュートリアルでは、Web トラフィックに次のフィルターを使いました。 http.request or tls.handshake.type eq 1 「http.request」という式からは HTTP リクエスト内の URL が得られます。そして「tls.han
<前編> ・ドメイン・ネットワーク帯を調査する手法 ・ドメインの調査 ・JPRS whois ・ICANN Registry Listings ・ネットワーク帯（IPアドレス）の調査 ・JPNIC whois Gateway ・BGP Tool kit ・その他の調査 ・検索エンジンを使った調査 ・Webサイトのクローリング ・Google AdSense ・公的データベースの活用 ・gBizINFO ・公開情報調査（Passive型の検索サービス） ・Robtex ・PassiveDNS ・viewdns.info ・Microsoft Defender Threat Intelligence ・違うTLDを試す ・RDAP サブドメインを調査する方法 様々な手法で収集した、ドメインとIPアドレス情報をもとにサブドメインを列挙するフェーズです。ドメイン/ネットワーク帯（IPアドレス）調査
気がついたら数年ぶりのBlog投稿でした。お手柔らかにお願いします。 さて、今回取り上げるのは、ドメインやサブドメイン、保有ネットワークを調査する手法（相手方に影響を与えない縛りです）を思いつくままに紹介していきます。ドキュメントとして纏まっているものもあまり見かけなかったので、重い腰を上げて書いてみました。この他にもこんな方法がある！などフィードバックを頂ければとても喜びますので、是非よろしくお願いします。 目次 <後編> ・サブドメインを調査する方法 ・IPアドレスを起点にサブドメインを探す ・公開ポートへのアクセス（Webポート） ・＜通常コンテンツの返却＞ ・＜エラーページの返却＞ ・＜リダイレクト＞ ・公開ポートへのアクセス（Webポート以外） ・証明書の確認 ・＜Webサーバの場合＞ ・＜SSL/TLSで保護されたプロトコルの場合＞ ・＜プロトコル内で暗号化(STARTTLS)
第７７５号コラム：北條 孝佳 理事（西村あさひ法律事務所 パートナー 弁護士） 題：「ランサムウェア攻撃の被害時に活用可能なベンダー選定チェックシートの紹介」 近年、データ復旧に関するトラブル事例が複数発生しており、これに危惧の念を抱いたことから、ＩＤＦをはじめ５団体（※１）が共同で「データ被害時のベンダー選定チェックシート Ｖｅｒ．１．０」（以下「チェックシート」という。）を作成し、公開した（※２）。本コラムではこれについて解説する（※３）。 サイバー攻撃の被害は後を絶たず、特にランサムウェア攻撃は、バックアップも含めて事業に活用しているデータが暗号化されて使えなくなってしまうことがある。そのため、被害組織にとっては業務の停止を余儀なくされ、場合によっては事業自体を撤退せざるを得ないこともある。このような事態が発生しないようランサムウェア攻撃を防止することに注力しつつ、被害を最小化するた
ELFマルウェアはそのマルウェアのビルド時に、シンボル情報を削除していることが見受けられます。これにより、マルウェア分析の際、関数の名前がわからないため、各関数名を特定する作業が生じます。また、分析ツールのIDAにおいて、既存のF.L.I.R.Tシグネチャ[1]（以降本記事ではFLIRTシグネチャと省略）はELFマルウェアの関数に適用されないことも多く、適切なシグネチャが見つからない場合、分析が困難であるという問題があります。 今回は、この問題について、Yaraルールを使用することで関数名を明らかにする手法について解説します。なお、本手法に用いるYaraルールを自動生成するIDAスクリプト「AutoYara4FLIRT」の使い方についても紹介します。本ツールはGitHub上で公開していますので、次のWebページからダウンロードしてご利用ください。 JPCERTCC/AutoYara4FLI
はじめに こんにちは、NTTコミュニケーションズの現場受け入れ型インターンシップに参加した奥です。 現在は大学でLinuxマルウェアの動的解析について研究しています。 今回私は2023年2月6日から2月17日の2週間、イノベーションセンターのNetwork Analytics for Security（通称NA4Sec）プロジェクトに参加し、 Cobalt Strikeを悪用した攻撃事例の調査、またCobalt Strikeのペイロード配布に利用される攻撃インフラの発見・追跡を体験しました。 この記事では、インターンシップ参加の経緯やインターンシップ期間中に取り組んだ内容について紹介します。 インターンシップ参加の経緯 私がこのインターンシップに応募したのは、夏に他社のインターンシップに参加した際に、他の学生たちがNTTのインターンシップを推していた記憶があり、応募しておけばよかった..と
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
